Вы никогда не можете предполагать, что данные, предоставленные вам на стороне клиента, являются «чистыми» или «безопасными». Нечестивые люди могут обойти ваш интерфейс и всю его проверку, если их цель - нанести вред вашей системе.
Вы всегда должны настраивать свой интерфейс соответствующим образом. Проверяйте данные, настраивайте TinyMCE, чтобы разрешать только те типы тегов, которые вы хотите создать, и т. Д.
Однако, независимо от внешнего интерфейса, вам всегда нужно повторно проверять отправленный контент на сервере, чтобы быть в безопасности. Обойти эту потребность просто невозможно. То, что является «безопасным», скорее всего, является бизнес-решением, основанным на том, что делает ваше приложение и кто его использует.
Существует много разных библиотек, которые вы можете использовать на стороне сервера для такого рода проверки / очистки, поэтому в зависимости от настроек вашего сервера (например, PHP) вы можете найти библиотеки, которые позволят вам «санировать / очищать» представленный HTML.